Jens FischerDie ARD hat eine ihrer aufwendigsten Recherchen des Jahres 2026 veröffentlicht: Die Dokumentation „Gefährliche Apps – Im Netz der Datenhändler" zeigt, wie über alltägliche Smartphone-Apps täglich Milliarden Standortdaten gesammelt, weitergegeben und zu brisanten Bewegungsprofilen zusammengesetzt werden. Dem Rechercheteam aus Bayerischem Rundfunk und netzpolitik.org lagen laut eigenen Angaben über 13 Milliarden Standortdatenpunkte vor – gehandelt von Datenbrokern, die kaum Schranken kennen. Die Reaktion der Behörden folgte prompt: Datenschutzbehörden durchsuchten Büros des Wetterportals Wetter Online wegen mutmaßlicher Weitergabe präziser Standortdaten ohne ausreichende Rechtsgrundlage.
Was die ARD-Dokumentation enthüllt
Das Rechercheteam hat über ein Jahr lang Datensätze ausgewertet, die auf dem freien Markt für Werbetechnologien kursieren. Das Ergebnis ist beunruhigend konkret: Eine exilierte ägyptische Journalistin, die in Berlin lebt, ließ sich über ihr Bewegungsprofil identifizieren und hätte damit zur Zielscheibe werden können. Hochrangige Mitarbeiter der EU-Kommission tauchten in den Datenpaketen auf. US-amerikanische Geheimdienstkreise erkannten Sicherheitsrisiken für Agenten in Europa. Und ukrainische Soldaten fanden die GPS-Koordinaten ihrer eigenen Stellungen in den gehandelten Datensätzen – zurückzuführen auf Apps, die sie im Alltag genutzt hatten.
Das Besondere an diesem Skandal: Die Daten stammen nicht aus Hackerangriffen oder illegalen Datenlecks. Sie wurden legal – oder zumindest scheinbar legal – über eingebettete Werbe-SDKs (Software Development Kits) aus ganz gewöhnlichen Apps abgegriffen. Wetter-Apps, Navigations-Anwendungen, Fitness-Tracker, kostenlose Spiele. In den Allgemeinen Geschäftsbedingungen dieser Apps findet sich oft tief versteckt eine Klausel zur Weitergabe „aggregierter, nicht personenbezogener Daten" – eine Formulierung, die Juristen und Datenschützer inzwischen als rechtlich fragwürdig einstufen.
Wie die Recherchen zeigen, sind die Datenpakete überraschend günstig zu erwerben: Für wenige Tausend Euro können Käufer Zugang zu GPS-Bewegungsprofilen hunderttausender Menschen erlangen. Die Rohdaten stammen dabei oft nicht von einer einzelnen App, sondern werden von spezialisierten Datenhändlern aus Dutzenden Quellen gebündelt, bereinigt und unter verschiedenen Lizenzen weiterverkauft. Das Rechercheteam hat nachgewiesen, dass solche Datensätze ohne aufwendige Verifikation erworben werden können – und dass die Käufer keinen Nachweis eines legitimen Zwecks vorlegen müssen.
Die Datenschutzkonferenz des Bundes und der Länder (DSK) hatte bereits 2023 klargestellt, dass Standortdaten in aller Regel als personenbezogene Daten im Sinne der DSGVO einzustufen sind, wenn sie zur Identifizierung einer Person geeignet sind. Das ist bei präzisen GPS-Koordinaten kombiniert mit Zeitstempeln fast immer der Fall. Über 60 Prozent aller deutschen Smartphone-Nutzer haben laut einer Erhebung aus dem Jahr 2024 mindestens eine Wetter- oder Navigations-App auf ihrem Gerät installiert – das entspricht rund 42 Millionen betroffenen Personen.
Datenschutzbehörden werden aktiver: Was bisher bekannt ist
Als direkte Folge der ARD-Recherchen leiteten Datenschutzbehörden Maßnahmen gegen mehrere Unternehmen ein. Bei Wetter Online, einem der bekanntesten deutschen Wetterportale, führten Ermittler eine Durchsuchung durch. Der Vorwurf: Das Unternehmen soll über Jahre hinweg präzise Standortdaten erhoben und weiterverarbeitet haben, ohne dass die dafür notwendige Rechtsgrundlage nach Art. 6 DSGVO in ausreichender Form vorlag.
Zudem berichtete netzpolitik.org, dass Datenschutzbehörden gravierende Verstöße bei einer bekannten Dating-App gefunden haben – ebenfalls in Folge der Databroker-Recherchen. Das zeigt: Die ARD-Dokumentation ist kein Einzelfall, der wieder in Vergessenheit gerät. Sie ist der Ausgangspunkt einer breiteren Prüfwelle.
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat 2026 angekündigt, die Durchsetzung gegenüber Unternehmen mit intransparenten Datenpraktiken zu intensivieren. Damit rückt für viele mittelständische App-Anbieter und Werbetechnologie-Nutzer eine unbequeme Frage ins Zentrum: Wissen Sie überhaupt, wohin die Daten Ihrer Nutzer fließen?
Die DSGVO-Dimension: Wenn Unternehmen ungewollt Teil des Problems werden
Für Unternehmen, die Apps betreiben oder Werbetechnologien einsetzen, offenbart die ARD-Dokumentation ein erhebliches Haftungsrisiko. Wer fremde SDKs in seine App integriert, ohne deren Datenflüsse vollständig zu kennen, kann gemäß Art. 26 DSGVO als gemeinsam Verantwortlicher eingestuft werden – mit allen Konsequenzen.
Die Datenschutz-Grundverordnung schreibt in Art. 5 vor, dass personenbezogene Daten nur zu klar definierten, legitimen Zwecken erhoben werden dürfen und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverarbeitet werden dürfen. Standortdaten, die für die Funktion einer Wetter-App erhoben werden, dürfen nicht für die Erstellung kommerzieller Bewegungsprofile an Dritte weitergegeben werden – selbst wenn der Nutzer im Onboarding-Prozess einer allgemeinen Datenschutzerklärung zugestimmt hat.
Bußgelder bei schweren Verstößen können nach Art. 83 Abs. 5 DSGVO bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes betragen. Für viele kleine und mittelständische Unternehmen ist bereits ein Bußgeld im sechsstelligen Bereich existenzgefährdend. Ähnliche Fragen der DSGVO-Konformität stellen sich auch für Anbieter von Streaming-Mediatheken, wie das Beispiel der SAT.1 Mediathek und Joyn-Datenschutzkonformität zeigt.
Konkret: Vom App-Download zum vollständigen Bewegungsprofil
Stellen Sie sich folgendes Szenario vor: Sie laden am 5. Januar 2026 eine kostenlose Wetter-App herunter, deren Funktion Sie täglich nutzen. Beim ersten Start tippen Sie auf „Akzeptieren" und gewähren Standortzugriff. Was in den Datenschutzhinweisen auf Seite 4 steht, lesen die wenigsten: Die App-Betreiber nutzen ein Werbe-SDK eines Drittanbieters, der seinerseits berechtigt ist, Standortdaten an bis zu 47 Partnernetzwerke weiterzugeben.
Über 12 Monate entstehen so rund 8.760 Datenpunkte – Ihr stündlich aufgezeichneter Standort. Datenbroker verknüpfen diese mit öffentlichen Registerdaten und können mit einer Trefferquote von über 80 Prozent Ihren Wohnort und Ihre Arbeitsstelle identifizieren. Jeden Datensatz aus diesem Bewegungsprofil haben die Broker im Schnitt für 0,003 Euro erworben – insgesamt also knapp 26 Euro für ein komplettes Jahresprofil Ihres Lebens.
Wenn Sie in diesem Zeitraum einen Anwalt, eine Arztpraxis oder eine politische Veranstaltung aufgesucht haben, ist das in diesen Datenpunkten sichtbar: mit Datum, Uhrzeit und genauen GPS-Koordinaten auf wenige Meter genau. Genau diese Informationen tauchen laut ARD-Recherche in frei zugänglichen Datenpaketen auf – und das nicht nur bei Einzelpersonen, sondern bei Millionen Nutzern gleichzeitig.
Die Konsequenz für Unternehmen ist direkt: Wenn ein Mitarbeiter oder Kunde Ihre Firmenadresse regelmäßig aufsucht, taucht diese in Bewegungsprofilen auf – zusammen mit seinem Heimatort. Arbeitgeber, Mitbewerber oder staatliche Akteure können daraus Rückschlüsse über Ihre Geschäftstätigkeit, Lieferketten oder Partnerschaften ziehen, ohne jemals direkten Datenbankzugang angefragt zu haben.
Für Nutzer bedeutet das: Standortfreigabe auf „Nur bei Nutzung der App" einschränken und regelmäßig überprüfen, welche Drittanbieter über das Einstellungsmenü der App Zugang erhalten. Gemäß Art. 15 DSGVO können Sie jederzeit beim App-Anbieter anfragen, welche Daten gespeichert und weitergegeben wurden.
Was Unternehmen und Nutzer jetzt tun sollten
Die ARD-Dokumentation markiert einen Wendepunkt in der deutschen Datenschutzdiskussion. Für Unternehmen gibt es jetzt konkreten Handlungsbedarf in vier Schritten:
Schritt 1 – SDK-Inventur: Welche Werbe-SDKs sind in der eigenen App integriert? Übermitteln diese Standort- oder Gerätekennungen? Eine vollständige Liste aller Datenempfänger ist Grundlage jeder DSGVO-konformen Datenschutzerklärung.
Schritt 2 – Einwilligungs-Audit: Genügt die aktuelle Consent-Abfrage den Anforderungen des EuGH-Urteils C-252/21 (Meta-Entscheidung 2023)? Ist jede Datenübermittlung an Drittanbieter einzeln und unmissverständlich kommuniziert?
Schritt 3 – Datenschutz-Folgenabschätzung (DSFA): Gemäß Art. 35 DSGVO ist eine DSFA Pflicht, wenn die Verarbeitung ein hohes Risiko für Betroffene bedeutet. Standortdaten erfüllen dieses Kriterium in der Regel automatisch.
Schritt 4 – Auftragsverarbeitungsverträge prüfen: Jede Datenweitergabe an SDK-Anbieter muss durch einen rechtssicheren Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abgedeckt sein.
Wer diese Fragen nicht mit Sicherheit bejahen kann, sollte nicht auf den nächsten Behördenbesuch warten. Ein spezialisierter IT-Berater mit DSGVO-Schwerpunkt kann in wenigen Stunden ein Überblicksbild erstellen und die dringlichsten Lücken identifizieren. Die frühe Bestandsaufnahme ist dabei deutlich günstiger als eine spätere Reaktion auf behördliche Anfragen: Erfahrungsgemäß beläuft sich ein erstes Datenschutz-Screening für mittelständische App-Anbieter auf 2 bis 4 Stunden Beratungszeit – bei einem möglichen Bußgeldrahmen von bis zu 20 Millionen Euro ist das ein überschaubares Investment. Die Dokumentation der ARD macht deutlich: Die Behörden sind informiert – und sie handeln.
Hinweis: Dieser Artikel informiert über allgemeine Entwicklungen im Datenschutzrecht und ersetzt keine individuelle Rechtsberatung. Für verbindliche Einschätzungen zu Ihrer konkreten Situation empfehlen wir die Konsultation eines spezialisierten IT- oder Datenschutzexperten.
